5.1情報セキュリティ運用

情報セキュリティを「設計する」ことと「日々回す」ことは別の営みです。サービスマネジメントの観点では、脆弱性が公表されるたびに全システムへ一斉にパッチを当てられるわけではなく、SLA目標（可用性・応答時間）を守りながら、リスクの高い脆弱性から順に、変更管理の手順に乗せて是正していく判断が求められます。この節では、パッチ/脆弱性管理の優先度づけ、ログ収集と監視、複数ログを突き合わせるSIEM、そして検知した事象をインシデント管理・問題管理へつなぐ運用面の管理策を、運用者の判断として学びます。深い暗号技術ではなく、あくまで「サービスを止めずに安全を保つ運用」に焦点を当てます。

5.1.1パッチ管理と脆弱性管理

• 脆弱性管理＝自組織のシステムに存在する脆弱性を継続的に洗い出し、その深刻度（例：CVSS スコア）と、実際に悪用されうるか・露出しているか（例：インターネット公開の有無、代替の緩和策の有無）を突き合わせてリスクを評価し、対応の優先順位を決める運用プロセス。「公表された脆弱性を機械的に全て即時パッチ」ではなく、リスクベースで優先度を判断するのが要点。
• パッチ管理＝評価した脆弱性に対し、修正パッチの適用を変更管理の手順（テスト・承認・切り戻し計画）に乗せて計画的に実施する運用。無停止が難しいパッチはSLAの計画停止枠（メンテナンスウィンドウ）に合わせ、緊急度の高い脆弱性は緊急変更（ECAB）として扱うなど、可用性目標とリスクのバランスを取って適用時期を決める。

5.1.2ログ収集・監視とSIEM

• ログ収集＝サーバ・ネットワーク機器・認証基盤・アプリケーション等が出力するログを、改ざんされない形で一元的に集める運用。ログは時刻同期（NTP）で時系列を揃え、保存期間をSLA/法令要件に合わせて定めることが、後の追跡・監査・原因究明の前提になる。
• SIEM（Security Information and Event Management）＝複数の機器・システムから集めたログを一元的に取り込み、相関分析（複数ログを突き合わせて単独では見えない攻撃の兆候を検出）し、しきい値やルールに合致した事象をアラートとして通知する仕組み。単一機器のログだけでは気づけない「複数段階にわたる攻撃の連鎖」を検出できる点が価値であり、検知した事象はインシデント管理へ引き渡す。

ある社内基幹サービスの運用を担うサービスマネージャが、月曜の朝に「利用中のWebアプリケーションフレームワークに、リモートから任意コード実行が可能な重大脆弱性（CVSS 9.8）が公表された」との連絡を受けたとします。このサービスは可用性99.9%のSLAを結んでおり、計画停止枠は毎週日曜深夜の2時間だけです。単純に「重大だから今すぐ全台にパッチを当てる」と判断してしまうと、無停止でのパッチ適用に失敗した場合にSLA違反の計画外停止を招くリスクがあります。そこでサービスマネージャは、まず脆弱性管理の観点で「この脆弱性が実際に悪用可能な経路が自組織に存在するか」を評価しました。当該フレームワークを使うサーバのうち、インターネットに直接公開されている系はごく一部で、大半は社内からのみ到達可能であることが分かりました。次に、公開系についてはWAFで当該攻撃パターンを一時的にブロックする緩和策を即日適用し、悪用の窓を塞いだうえで、根本対策であるパッチ適用は緊急変更（ECAB）としてリスクと切り戻し計画を承認し、公開系を最優先・社内限定系を次の計画停止枠、という優先順位で段階適用する計画を立てました。並行して、SIEM のルールに当該脆弱性の悪用試行を検知する条件を追加し、パッチ完了までの間に攻撃の兆候が出れば即座にインシデント管理へエスカレーションできる監視体制を敷きました。このように、重大な脆弱性であっても「即時一律パッチ」ではなく、悪用可能性・露出・SLAの可用性目標を突き合わせ、緩和策で時間を稼ぎながらリスクの高い系から変更管理に乗せて是正するのが、サービスマネージャに求められる運用判断です。

5.1.3この節のまとめ

• 脆弱性管理は深刻度・露出・悪用可能性を突き合わせてリスクベースで優先度を判断し、パッチ管理は変更管理の手順に乗せ緊急は緊急変更(ECAB)で計画適用する
• ログ収集は時刻同期と保存期間の設計が前提、SIEMは複数ログの相関分析で単独では見えない攻撃を検知しアラートする
• 重大な脆弱性でも即時一律パッチではなく、緩和策で時間を稼ぎ高リスク系から段階適用し、検知した事象はインシデント管理へ連携する